CN115987593A - 终端网络层及应用层可信接入方法及系统 - Google Patents

Abstract

本申请公开了一种终端网络层及应用层可信接入方法及系统，该方法包括根据第一认证信息、第二认证信息及终端发送的第三认证信息，生成对称密钥；利用对称密钥生成第一结束信息，以供终端根据第一认证信息、第二认证信息及第三认证信息，生成会话密钥；利用会话密钥对第一结束信息进行解密并在确认解密结果无误后，发送第二结束信息，第二结束信息基于会话密钥生成；利用对称密钥对第二结束信息进行解密，在验证解密数据正确后，终端作为可信终端接入主站，对称密钥用于对终端传输的数据进行解密，得到上报至主站的数据。可见，本申请可以建立可信终端与主站的安全通道，避免不法分子伪造终端与主站交互的情况，从而，维护电网的安全稳定运行。

Description

终端网络层及应用层可信接入方法及系统

技术领域

本申请涉及信息安全防护技术领域，更具体地说，涉及一种终端网络层及应用层可信接入方法及终端网络层及应用层可信接入系统。

背景技术

随着配电自动化建设进程的加快，电力物联网建设成为电力通讯发展的重要方向，电力终端与配电主站间的交互与连接使得电力相关数据能够得到感知与反馈控制，进而形成整体的电力生产体系。但存在攻击者伪造终端身份对配电主站进行恶意破坏，此外，攻击者上传至主站的信息易导致主站发出与实际需求不匹配的控制指令，以至于电网无法安全稳定的运行。

发明内容

有鉴于此，本申请提供了一种终端网络层及应用层可信接入方法及一种终端网络层及应用层可信接入系统，用于维护电网的安全稳定运行。

为了实现上述目的，现提出的方案如下：

一种终端网络层及应用层可信接入方法，所述方法应用于网关设备，所述网关设备中配置有加密卡驱动硬件，包括：

接收终端的网络层发送的第一认证信息；

根据所述第一认证信息，生成第二认证信息；

将所述第二认证信息发送至所述终端；

接收所述终端的应用层发送的第三认证信息；

根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥；

利用所述对称密钥生成第一结束信息；

将所述第一结束信息发送至所述终端，以供所述终端的应用层根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成会话密钥；利用所述会话密钥对所述第一结束信息进行解密，得到解密结果，并在确认所述解密结果无误后，发送第二结束信息至所述网关设备，所述第二结束信息基于所述会话密钥生成，所述会话密钥用于对传输的数据进行加密；

利用所述对称密钥对所述第二结束信息进行解密，得到解密数据；

验证所述解密数据的正确性，以便验证所述解密数据正确之后，所述终端作为可信终端接入所述网关设备对应的主站，所述对称密钥用于对所述终端传输的数据进行解密，得到所述网关设备上报至主站的数据。

可选的，根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥，包括：

调用所述加密卡驱动硬件，根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥。

可选的，所述第一认证信息包括终端支持的加密方法的标识和SSL协议版本号，以及第一随机数；

根据所述第一认证信息，生成第二认证信息，包括：

根据所述第一认证信息中的终端支持的加密方法的标识以及所述网关设备支持的加密方法的标识，选取所述终端及所述网关设备皆支持的任意一种加密方法，作为目标加密方法，所述目标加密方法用于对所述终端及所述网关设备交互的数据进行加密；

生成第二随机数；

确定与所述SSL协议版本号匹配的第一CA根证书；

基于所述目标加密方法的标识、所述第一CA根证书以及所述第二随机数生成所述第二认证信息。

可选的，所述第三认证信息包括第三随机数；

所述根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥，包括：

使用所述目标加密方法对所述第一认证信息中的第一随机数、所述第二认证信息中的第二随机数以及所述第三认证信息中的第三随机数进行加密，得到加密串，并将所述加密串作为对称密钥。

可选的，所述第三认证信息还包括所述终端对应的第二CA根证书；

在使用所述目标加密方法对所述第一认证信息中的第一随机数、所述第二认证信息中的第二随机数以及所述第三认证信息中的第三随机数进行加密，得到加密串之前，还包括：

对所述第二CA根证书的有效性进行验证，得到验证结果；

在所述验证结果表明所述第二CA根证书可靠之后，返回执行使用所述目标加密方法对所述第一认证信息中的第一随机数、所述第二认证信息中的第二随机数以及所述第三认证信息中的第三随机数进行加密，得到加密串的步骤。

一种终端网络层及应用层可信接入系统，包括终端及网关设备；

所述终端，用于利用网络层向所述网关设备发送第一认证信息；在验证所述网关设备发送的第二认证信息无误后，利用应用层向所述网关设备发送第三认证信息；接收到所述网关设备发送的第一结束信息后，利用应用层根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成会话密钥，利用应用层基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，利用应用层基于所述会话密钥生成第二结束信息，向所述网关设备发送所述第二结束信息，在所述网关设备验证所述第二结束信息无误后，所述终端作为可信终端接入所述网关设备对应的主站；所述会话密钥用于对传输的数据进行加密；

所述网关设备，用于根据所述第一认证信息生成第二认证信息，向所述终端发送所述第二认证信息；并在验证所述第三认证信息无误后，根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成对称密钥，并基于所述对称密钥生成第一结束信息，向所述终端发送所述第一结束信息；在接收到所述第二结束信息后，利用所述对称密钥对所述第二结束信息进行验证，并在验证所述第二结束信息无误后，确定所述终端为可信终端；所述对称密钥，用于对所述终端传输的数据进行解密，将解密后的结果发送至主站。

可选的，所述应用层中配置有安全芯片硬件；

所述安全芯片硬件，用于根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成会话密钥，基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，基于所述会话密钥生成第二结束信息。

可选的，所述网关设备中配置有加密卡驱动硬件；

所述加密卡驱动硬件，用于在验证所述第三认证信息无误后，根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成所述对称密钥，并基于所述对称密钥生成第一结束信息；利用所述对称密钥对所述第二结束信息进行验证。

可选的，所述第一认证信息包括第一随机数，所述第二认证信息包括第二随机数，所述第三认证信息包括第三随机数；

所述加密卡驱动硬件，用于在验证所述第三认证信息无误后，根据所述第一认证信息的第一随机数、所述第二认证信息的第二随机数及所述第三认证信息的第三随机数生成所述对称密钥，并基于所述对称密钥生成第一结束信息；利用对称密钥对所述第二结束信息进行验证；

所述安全芯片硬件，用于根据所述第一认证信息的第一随机数、所述第二认证信息的第二随机数及所述第三认证信息的第三随机数生成会话密钥，基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，基于所述会话密钥生成第二结束信息。

可选的，所述第一认证信息还包括终端支持的SSL协议版本号；所述第二认证信息还包括与所述SSL协议版本号匹配的网关设备的第一CA根证书；所述第三认证信息还包括所述终端的第二CA根证书；

所述终端，还用于验证所述第二认证信息的第一CA根证书的有效性，以验证所述网关设备发送的第二认证信息是否无误；

所述网关设备，还用于验证所述第三认证信息的第二CA根证书的有效性，以验证所述第三认证信息是否无误。

从上述的技术方案可以看出，本申请提供的终端网络层及应用层可信接入方法，应用于配置有加密卡驱动硬件的网关设备，该方法可以在网关设备与终端的交互过程中，利用交互的第一认证信息、第二认证信息以及第三认证信息生成对称密钥，并通过第一结束信息及第二结束信息确定对称密钥的正确性，再利用终端发送的第二结束信息，确定终端生成的会话密钥是否与网关设备生成的对称密钥匹配，如此，本申请实现了信息加密传输过程中的密钥分配。网关设备生成的对称密钥用于对所述终端传输的数据进行解密，将解密后得到的结果发送至主站，如此，本申请不仅能够利用网关设备对终端进行认证，还可以建立可信终端与主站的安全通道，避免不法分子伪造终端与主站交互的情况，从而，维护电网的安全稳定运行。

此外，本申请的网关设备能够直接利用与终端约定的对称密钥进行解密，不需要主站对终端传输的数据进行解密，极大地减轻了主站的工作压力。可见，本申请的网关设备在避免终端与主站的交互数据被鉴定、窃取或篡改的基础上，还可以减轻主站的工作压力。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例公开的一种终端网络层及应用层可信接入方法流程图；

图2为本申请实施例公开的一种终端网络层及应用层可信接入系统的系统架构图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请提供的终端网络层及应用层可信接入方法，可以应用于各类网关设备中。该网关设备上可以配置有加密卡驱动硬件，利用该加密卡驱动硬件实现对终端及主站交互的信息的加解密。该加密卡驱动硬件可以装配有继电保护操作系统，该继电保护操作系统(chip operating system，cos)是运行在加密卡驱动硬件中的专用系统,用于控制加密卡驱动硬件与外界的信息交换。

接下来结合图1对本申请的终端网络层及应用层可信接入方法进行详细介绍，包括如下步骤：

步骤S1、接收终端发送的第一认证信息。

具体地，可以直接接收各个终端发送的第一认证信息，该终端可以为电力终端，如故障识别器终端。

其中，可以接收终端的网络层发送的第一认证信息。

步骤S2、根据所述第一认证信息，生成第二认证信息。

具体地，可以对第一认证信息进行分析，并基于该第一认证信息的分析结果，生成第二认证信息。该第二认证信息可以用于识别网关设备身份的合法性。

其中，第二认证信息可以为加密卡驱动硬件基于所述第一认证信息生成的信息。

步骤S3、将所述第二认证信息发送至所述终端。

具体地，可以向该终端发送第二认证信息，该终端为发送第一认证信息的终端。

步骤S4、接收所述终端发送的第三认证信息。

具体地，可以直接接收终端发送的第三认证信息，该第三认证信息可以用于识别该终端身份的合法性。

其中，可以接收终端的应用层发送的第三认证信息。

步骤S5、根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥。

具体地，可以基于终端发送的第一认证信息及第二认证信息，以及网关设备生成的第二认证信息生成对称密钥。该对称密钥用于对终端加密的数据进行解密，以实现网关设备与终端的安全通信。

步骤S6、利用所述对称密钥生成第一结束信息。

具体地，可以利用该对称密钥对结束数据进行加密，得到网关设备对应的第一结束信息，该结束数据可以包括网关设备校验握手过程完整性的结果还可以包括协商结束指令。

其中，可以调用加密卡驱动硬件，利用对称密钥对网关设备校验握手过程完整性的结果和/或协商结束指令进行加密，得到第一结束信息。

步骤S7、将所述第一结束信息发送至所述终端。

具体地，可以将生成的第一结束信息发送至该终端，以便终端的应用层可以根据第一认证信息、第二认证信息及第三认证信息，生成会话密钥；终端的应用层可以利用会话密钥对第一结束信息进行解密，得到解密结果，并在确认所述解密结果无误后，发送第二结束信息至所述网关设备。其中，该第二结束信息可利用会话密钥对结束串加密得到，结束串可以表明终端已产生会话密钥，还可以表明该终端已使用该会话密钥成功解密第一结束信息，该会话密钥用于对传输的数据进行加密。

通过第一认证信息、第二认证信息及第三认证信息实现密钥的分发，其中，会话密钥与对称密钥的生成方式一致，因而，会话密钥与对称密钥所包含的内容可以一致，但会话密钥对应于终端设备，对称密钥对应于网关设备。

步骤S8、利用所述对称密钥对所述第二结束信息进行解密，得到解密数据。

具体地，可以将对称密钥作为解密密钥，对第二结束信息进行解密，得到解密数据，该解密数据为数据明文。

其中，可以调用加密卡驱动硬件利用对称密钥对所述第二结束信息进行解密，得到解密数据。

步骤S9、验证所述解密数据的正确性。

具体地，数据明文具备一定的格式，因而，可以根据解密数据的格式是否正确，确定该解密数据的正确性。

当解密数据的格式正确时，可以认为该解密数据正确，则表明终端生成的会话密钥正确，从而，确认该终端为可信终端，以便该终端可以作为可信终端接入网关设备对应的主站，所述对称密钥用于对所述终端传输的数据进行解密，得到解密信息。

其中，该解密信息为可供网关设备上报至主站的数据，同时，网关设备还可分析该解密信息，得到上报至主站的上报数据。

该终端为可信终端接入主站后，其上报至网关设备的数据可以被解密，而网关设备至发送至主站的上报数据可以为明文，上报数据可以基于接入主站的终端发送的经过加密的数据生成，以便在保证安全通信的同时，减轻主站的工作压力。

从上述技术方案可以看出，本申请实施例提供了一种终端网络层及应用层可信接入方法，应用于配置有加密卡驱动硬件的网关设备，该方法可以在网关设备与终端的交互过程中，利用交互的第一认证信息、第二认证信息以及第三认证信息生成对称密钥，并通过第一结束信息及第二结束信息确定对称密钥的正确性，再利用终端发送的第二结束信息，确定终端生成的会话密钥是否与网关设备生成的对称密钥匹配，如此，本申请完成了终端与网关设备之间的双向身份认证，还实现了信息加密传输过程中的密钥分配。网关设备生成的对称密钥用于对所述终端传输的数据进行解密，将解密后得到的结果发送至主站，如此，本申请不仅能够利用网关设备对终端进行认证，还可以建立可信终端与主站的安全通道，避免不法分子伪造终端与主站交互的情况，从而，维护电网的安全稳定运行。

此外，本申请的网关设备能够直接利用与终端约定的对称密钥进行解密，不需要主站对终端传输的数据进行解密，极大地减轻了主站的工作压力。可见，本申请的网关设备在避免终端与主站的交互数据被鉴定、窃取或篡改的基础上，还可以减轻主站的工作压力。

在本申请的一些实施例中，对步骤S2、根据所述第一认证信息，生成第二认证信息的过程进行详细说明，步骤如下：

S20、根据所述第一认证信息中的终端支持的加密方法的标识以及所述网关设备支持的加密方法的标识，选取所述终端及所述网关设备皆支持的任意一种加密方法，作为目标加密方法，所述目标加密方法用于对所述终端及所述网关设备交互的数据进行加密。

具体地，第一认证信息中可以包含终端支持的加密方法的标识、终端支持的SSL协议版本号，以及第一随机数。

可以确定网关设备支持的加密方法，从网关设备以及终端皆支持的加密方法中选取任意一种加密方法作为目标加密方法。

目标加密方法可以为国密算法SM1、国密算法SM2、国密算法SM3或国密算法SM4。

S21、生成第二随机数。

具体地，可以利用加密卡驱动硬件随机生成32位随机数，将该32位随机数作为第二随机数。

S22、确定与所述SSL协议版本号匹配的第一CA根证书。

具体地，根据终端支持的SSL协议版本号，在网关设备中调用与该SSL协议版本号对应的CA根证书。

其中，终端支持的SSL协议版本号可以为多个，选取的第一CA根证书与任意一个SSL协议版本号对应即可。

S23、基于所述目标加密方法的标识、所述第一CA根证书以及所述第二随机数生成所述第二认证信息。

具体地，可以生成第二认证信息，该第二认证信息中包含目标加密方法的标识、第一CA根证书以及第二随机数。

从上述技术方案可以看出，本实施例提供了一种生成第二认证信息的可选的方式，通过上述过程可以看出，本实施例中的第二认证信息可以包含网关设备对应的第一CA根证书，该第一CA根证书可以用于识别网关设备身份的合法性，以便终端与网关设备进行身份验证，第二认证信息还可以包括第二随机数，该第二随机数可以用于生成对称密钥，第二认证信息还可以包括目标加密方法的标识，该标识可以帮助终端与网关设备约定交互过程中的加密方法，实现信息的安全传输。

本申请的一些实施例中，对步骤S5、根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥的过程进行详细说明，步骤如下：

S50、调用所述加密卡驱动硬件，根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥。

具体地，对称密钥可以为加密卡驱动硬件基于第一认证信息、第二认证信息及第三认证信息生成的字符串。

从上述技术方案可以看出，本申请中可以利用网关设备中的硬件生成对称密钥，而通过加密卡驱动硬件的cos系统可保护加密卡驱动硬件中的对称密钥无法被外界读取，防止了对称密钥的外泄。因而，采用加密卡驱动硬件实现硬件加密及解密，提高了网关设备的安全性。

在本申请的一些实施例中，对步骤S5、根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥的过程进行详细说明，步骤如下：

S50、使用所述目标加密方法对所述第一认证信息中的第一随机数、所述第二认证信息中的第二随机数以及所述第三认证信息中的第三随机数进行加密，得到加密串，并将所述加密串作为对称密钥。

具体地，第三认证信息中可以包含终端生成的第三随机数。进一步地，该第三认证信息可包含加密后的第三随机数，网关设备可以采用目标加密方法对该加密后的第三随机数进行解密，得到第三随机数。

因而，可以使用目标加密方法对第一随机数进行加密，得到第一加密串；

使用目标加密方法对第二随机数进行加密，得到第二加密串；

使用目标加密方法对第三随机数进行加密，得到第三加密串；

对该第一加密串、第二加密串及第三加密串进行组合，得到总加密串，该总加密串可为对称密钥。

需要说明的是，第一随机数、第二随机数及第三随机数是终端及网关设备协商过程中所涉及的三个随机数，但第一随机数、第二随机数及第三随机数间并不存在大小关系。同理，第一认证信息为终端首先发送至网关设备的信息，第二认证信息为网关设备接收到第一认证信息后发送至终端的信息，第三认证信息为终端接收到第二认证信息后发送至网关设备的信息，但第一认证信息、第二认证信息及第三认证信息间并不存在大小关系。

从上述技术方案可以看出，本实施例提供了一种生成对称密钥的可选的方式，通过上述的方式可以利用网关设备及终端协商过程中的约定的目标加密方法、第一随机数、第二随机数以及第三随机数生成，提高了对称密钥的随机性。通过目标加密方法对多个随机数的加密，提高了对称密钥的保密性，且对称密钥并非直接下发，而是由网关设备直接生成，进一步减少了密钥被窃取泄露的风险。

在本申请的一些实施例中，考虑到终端对网关设备的身份合法性进行验证后，网关设备也可以对终端设备的身份合法性进行验证，因而，在步骤S50生成对称密钥之前还可以增加，终端设备的身份合法性验证过程，接下来，将对该过程进行详细说明，步骤如下：

S51、对所述第二CA根证书的有效性进行验证，得到验证结果，若所述验证结果表明所述第二CA根证书可靠，则返回执行步骤S50。

具体地，第三认证信息中除了包含第三随机数后，还可以包含终端对应的第二CA根证书。

可以利用加密卡驱动硬件，读取第二CA根证书中私钥的签名，并利用第二CA根证书中的公钥对该签名进行验证，得到验证结果。

验证结果为签名验证通过或签名验证不通过。

当验证结果为签名验证通过时，表明第二CA根证书可靠，可认为该终端的身份合法可靠，此时，可返回执行步骤S50。

若所述验证结果为签名验证不通过时，表明所述第二CA根证书不可靠，则网关设备可以生成请求指令，该请求指令表明请求终端的CA根证书，当终端再次返回的CA根证书仍不可靠时，停止与该终端的交互过程。

从上述技术方案可以看出，本实施例增加了一种验证终端是否可靠的可选的方式，通过上述的方式，可以进一步对终端的身份合法性进行验证，以确保终端的可靠性，进一步提高本申请的可靠性，保证了电网的安全稳定运行。

上述的网关设备可以为下文的终端网络层及应用层可信接入系统中的组成部分之一，此外，下文的终端网络层及应用层可信接入系统中还可以包含上文所提及的终端。

接下来将结合图2对本申请提供的终端网络层及应用层可信接入系统进行详细说明。

参见图2，本申请的终端网络层及应用层可信接入系统可由终端10与网关设备20组成。

其中，一个网关设备20可以对应于多个终端10，网关设备20可以对应于主站，将终端10传输的信息汇集至主站，实现终端10与主站的信息交互。

主站和网关设备20一般通过无线网络进行信息交互，无线网络可为第三代移动通信网络或通用分组无线服务技术网络。网关设备20和终端10一般通过本地家庭局域网，进行数据传输，本地家庭局域网可为电力载波通信或射频网络。

接下来，将对终端10与网关设备20的功能进行详细说明。

终端10，可用于利用网络层向所述网关设备20发送第一认证信息；在验证所述网关设备20发送的第二认证信息无误后，利用应用层向所述网关设备20发送第三认证信息；接收到所述网关设备20发送的第一结束信息后，利用应用层根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成会话密钥，利用应用层基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，利用应用层基于所述会话密钥生成第二结束信息，向所述网关设备20发送所述第二结束信息，在所述网关设备20验证所述第二结束信息无误后，作为可信终端接入所述网关设备20对应的主站；所述会话密钥用于对传输的数据进行加密。

网关设备20，可用于根据所述第一认证信息生成第二认证信息，向所述终端10发送所述第二认证信息；并在验证所述第三认证信息无误后，根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成所述对称密钥，并基于所述对称密钥生成第一结束信息，向所述终端10发送所述第一结束信息；在接收到所述第二结束信息后，利用所述对称密钥对所述第二结束信息进行验证，并在验证所述第二结束信息无误后，确定所述终端10为可信终端；所述对称密钥，用于对所述终端10传输的数据进行解密。

终端10在未接入主站时，可以向网关设备20发送第一认证信息、第三认证信息以及第二结束信息进行身份认证并协商密钥，网关设备20可以对未接入主站的终端10发送第二认证信息以及第一结束信息完成对终端10的身份认证以及协商密钥。

在终端10接入主站后，终端10可以向网关设备20发送使用会话密钥加密后的信息，网关设备20可以使用该终端10对应的对称密钥对该信息进行解密，生成上报至主站的信息，以便主站下发指令维护电网的安全稳定运行。

通过上述的技术方案，本申请提供的终端10以及网关设备20可以通过信息交互完成身份认证以及协商过程，以保证后续终端10接入主站后，可以使用会话密钥以及对称密钥与主站进行安全通信，避免信息的泄露及篡改，避免非法设备伪造成终端与主站的交互。

此外，本申请的网关设备20能够协商对称密钥，终端10能够与网关设备20约定的会话密钥，此后，本申请的网关设备20可以直接使用对称密钥对终端10传输的数据进行解密，不需要主站对终端传输的数据进行解密，极大地减轻了主站的工作压力。

在本申请的一些实施例中，终端10中的应用层可配置有安全芯片硬件。

该安全芯片硬件，可用于根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成会话密钥，基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，基于所述会话密钥生成第二结束信息。

具体地，安全芯片硬件可以生成会话密钥，也可以利用会话密钥对第一结束信息进行解密，还可以利用会话密钥进行加密生成第二结束信息。因而，当终端10接入主站后，可以利用安全芯片硬件实现对传输数据的加密以及解密。

从上述技术方案可以看出，本申请实施例提供了一种生成会话密钥的可选的方式，通过上述的方式可利用安全芯片硬件的cos系统保护会话密钥无法被外界读取，防止了会话密钥的外泄。因而，采用安全芯片硬件实现硬件加密及解密，提高了终端10的安全性。

在本申请的一些实施例中，网关设备20中配置有加密卡驱动硬件。

该加密卡驱动硬件，可用于在验证所述第三认证信息无误后，根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成所述对称密钥，并基于所述对称密钥生成第一结束信息；利用所述对称密钥对所述第二结束信息进行验证。

具体地，加密卡驱动硬件，可以生成对称密钥，并利用对称密钥进行加密生成第一结束信息，还可以利用对称密钥对第二结束信息进行解密。因而，当终端10接入主站后，可以利用加密卡驱动硬件对接收到的与该终端10对应的数据进行加密以及解密。

从上述技术方案可以看出，本实施例提供了一种生成对称密钥的可选的方式，通过上述的方式，可以保护对称密钥不出加密卡驱动硬件，无法被外界读取泄露。因而，采用加密卡驱动硬件加密及解密，提高了网关设备20的安全性。

在本申请的一些实施例中，第一认证信息可包括第一随机数，第二认证信息可包括第二随机数，第三认证信息可包括第三随机数。

加密卡驱动硬件，可用于在验证所述第三认证信息无误后，根据所述第一认证信息的第一随机数、所述第二认证信息的第二随机数及所述第三认证信息的第三随机数生成所述对称密钥，并基于所述对称密钥生成第一结束信息；利用对称密钥对所述第二结束信息进行验证。

安全芯片硬件，可用于根据所述第一认证信息的第一随机数、所述第二认证信息的第二随机数及所述第三认证信息的第三随机数生成会话密钥，基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，基于所述会话密钥生成第二结束信息。

加密卡驱动硬件及安全芯片硬件需要利用网关设备20以及终端10协商过程中生成的第一随机数、第二随机数以及第三随机数，生成密钥。

从上述技术方案可以看出，本实施例提供了一种生成对称密钥以及生成会话密钥的可选的方式，通过上述的方式，可以利用协商过程所生成的随机数实现密钥的生成，进一步保证了密钥的保密性。

在本申请的一些实施例中，第一认证信息还包括终端10支持的SSL协议版本号；所述第二认证信息还包括与所述SSL协议版本号匹配的网关设备20的第一CA根证书；所述第三认证信息还包括所述终端10的第二CA根证书。

终端10，还可以用于验证所述第二认证信息的第一CA根证书的有效性，以验证所述网关设备发送的第二认证信息是否无误。

其中，可以通过第一CA根证书中的公钥验证第一CA根证书中签名的正确性，实现验证所述第二认证信息的第一CA根证书的有效性。在签名正确时，确认网关设备20发送的第二认证信息无误。

网关设备20，还可以用于验证所述第三认证信息的第二CA根证书的有效性，以验证所述第三认证信息是否无误。

其中，可以通过第二CA根证书中的公钥验证第二CA根证书中签名的正确性，实现验证所述第三认证信息的第二CA根证书的有效性。在签名正确时，确认终端10发送的第三认证信息无误。

从上述技术方案可以看出，本实施例提供了一种验证第二认证信息以及第三认证信息的可选的方式，通过上述的方式可以利用第二认证信息中的第一CA根证书以及第三认证信息中的第二CA根证书完成验证，进一步提高了本申请的可靠性。

接下来，将对终端10以及网关设备20的协商过程进行详细说明，步骤如下：

S1、终端10向所述网关设备发送第一认证信息。

具体地，终端10想参与协商时，可向所述网关设备20发送第一认证信息。

其中，终端10的安全芯片硬件可以生成第一随机数并确定支持的加密方法；

终端10可以确定支持的SSL协议版本号；

终端10可以根据第一随机数、支持的加密方法以及SSL协议版本号，生成第一认证信息。

第一认证信息中可以包含终端10支持的加密方法的标识、终端10支持的SSL协议版本号，以及第一随机数。

S2、网关设备20根据所述第一认证信息生成第二认证信息，向所述终端10发送第二认证信息。

具体地，网关设备20可以确定加密卡驱动硬件支持的加密方法，根据加密卡驱动硬件支持的加密方法以及第一认证信息中的加密方法的标识，确定安全芯片硬件以及加密卡驱动硬件皆支持的一个以上加密方法，加密卡驱动硬件可从该各个加密方法中随机选取一个加密方法作为目标加密方法。

加密卡驱动硬件可生成第二随机数；

网关设备20调用与SSL协议版本号匹配的第一CA根证书；

网关设备20根据目标加密方法、第二随机数及第一CA根证书生成第二认证信息，并向终端10发送该第二认证信息。

S3、终端10验证第二认证信息是否无误，并在确定第二认证信息无误后，向所述网关设备20发送第三认证信息。

具体地，终端10通过验证第二认证信息中的第一CA根证书是否无误，确定第二认证信息是否无误，即，在第一CA根证书无误后，确定第二认证信息无误，且确定网关设备20的身份合法性。

安全芯片硬件可以生成第三随机数，并使用目标加密方法对第三随机数进行加密。

终端10可以调用终端10对应的第二CA根证书。

根据加密后的第三随机数以及第二CA根证书生成第三认证信息，并向网关设备20发送该第三认证信息。

S4、网关设备20验证第三认证信息是否无误，并在确认第三认证信息无误后，根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成对称密钥，并基于所述对称密钥生成第一结束信息，向所述终端发送所述第一结束信息。

具体地，网关设备20可以通过验证第三认证信息中的第二CA根证书是否无误，以确定第三认证信息是否无误，即，在第二CA根证书无误后，确定第三认证信息无误，且确定终端10的身份合法性。

确定终端10的身份合法后，可以根据目标加密方法、第一随机数、第二随机数以及第三随机数生成对称密钥。

可以利用对称密钥以及目标加密方法对网关设备20校验握手过程完整性的结果和/或协商结束指令进行加密，得到第一结束信息，并向终端10发送第一结束信息。

S5、终端10根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成会话密钥，基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，基于所述会话密钥生成第二结束信息，向所述网关设备发送所述第二结束信息。

具体地，终端10的安全芯片硬件根据目标加密方法、第一随机数、第二随机数以及第三随机数生成会话密钥。

安全芯片硬件使用目标加密方法以及会话密钥对第一结束信息进行解密，得到解密结果，验证该解密结果的格式是否正确，得到验证结果。

在验证结果为格式正确时，表明第一结束信息无误，此时，安全芯片硬件可以基于目标加密方法以及会话密钥对结束串进行加密，得到第二结束信息，该结束串可以表明终端已产生会话密钥，还可以表明该终端已使用该会话密钥成功解密第一结束信息。

终端10可向网关设备20发送第二结束信息。

S6、网关设备20利用所述对称密钥对所述第二结束信息进行验证，并在验证所述第二结束信息无误后，确定所述终端10为可信终端。

具体地，网关设备20可以利用对称密钥以及目标加密方法对第二结束信息进行解密，得到解密数据。

在确定解密数据的格式正确后，可以确定第二结束信息无误，此时，可以确认该终端10为可信终端。

S7、终端10作为可信终端接入所述网关设备20对应的主站。

具体地，终端10在协商成功后，作为可信终端接入网关设备20对应的主站。

在接入主站后，终端10可使用目标加密方法以及会话密钥对传输的数据进行加密以及对网关设备20下发的指令进行解密。

网关设备20可以使用目标加密方法以及对称密钥对终端10上传的数据进行解密，并上报至主站，以及使用目标加密方法以及对称密钥对主站下发的指令进行加密，并下发至终端10。

从上述技术方案可以看出，本实施例中提供了终端10以及网关设备20的协商过程，通过上述的协商过程可以进一步完成密钥的分发、终端10对网关设备20的身份验证以及网关设备20对终端10的身份验证，从而实现终端10与主站的安全通信。此外，通过第一结束信息以及第二结束信息的发送以及解密，可以验证对称密钥以及会话密钥的正确性，进一步提高通信的安全性以及可靠性。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。本申请的各个实施例之间可以相互结合。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种终端网络层及应用层可信接入方法，其特征在于，所述方法应用于网关设备，所述网关设备中配置有加密卡驱动硬件，包括：

接收终端的网络层发送的第一认证信息；

根据所述第一认证信息，生成第二认证信息；

将所述第二认证信息发送至所述终端；

接收所述终端的应用层发送的第三认证信息；

根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥；

利用所述对称密钥生成第一结束信息；

将所述第一结束信息发送至所述终端，以供所述终端的应用层根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成会话密钥；利用所述会话密钥对所述第一结束信息进行解密，得到解密结果，并在确认所述解密结果无误后，发送第二结束信息至所述网关设备，所述第二结束信息基于所述会话密钥生成，所述会话密钥用于对传输的数据进行加密；

利用所述对称密钥对所述第二结束信息进行解密，得到解密数据；

验证所述解密数据的正确性，以便验证所述解密数据正确之后，所述终端作为可信终端接入所述网关设备对应的主站，所述对称密钥用于对所述终端传输的数据进行解密，得到所述网关设备上报至主站的数据。

2.根据权利要求1所述的终端网络层及应用层可信接入方法，其特征在于，根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥，包括：

调用所述加密卡驱动硬件，根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥。

3.根据权利要求1所述的终端网络层及应用层可信接入方法，其特征在于，所述第一认证信息包括终端支持的加密方法的标识和SSL协议版本号，以及第一随机数；

根据所述第一认证信息，生成第二认证信息，包括：

根据所述第一认证信息中的终端支持的加密方法的标识以及所述网关设备支持的加密方法的标识，选取所述终端及所述网关设备皆支持的任意一种

加密方法，作为目标加密方法，所述目标加密方法用于对所述终端及所述网关设备交互的数据进行加密；

生成第二随机数；

确定与所述SSL协议版本号匹配的第一CA根证书；

基于所述目标加密方法的标识、所述第一CA根证书以及所述第二随机数生成所述第二认证信息。

4.根据权利要求3所述的终端网络层及应用层可信接入方法，其特征在于，所述第三认证信息包括第三随机数；

所述根据所述第一认证信息、所述第二认证信息及所述第三认证信息，生成对称密钥，包括：

使用所述目标加密方法对所述第一认证信息中的第一随机数、所述第二认证信息中的第二随机数以及所述第三认证信息中的第三随机数进行加密，得到加密串，并将所述加密串作为对称密钥。

5.根据权利要求4所述的终端网络层及应用层可信接入方法，其特征在于，所述第三认证信息还包括所述终端对应的第二CA根证书；

在使用所述目标加密方法对所述第一认证信息中的第一随机数、所述第二认证信息中的第二随机数以及所述第三认证信息中的第三随机数进行加密，得到加密串之前，还包括：

对所述第二CA根证书的有效性进行验证，得到验证结果；

在所述验证结果表明所述第二CA根证书可靠之后，返回执行使用所述目标加密方法对所述第一认证信息中的第一随机数、所述第二认证信息中的第二随机数以及所述第三认证信息中的第三随机数进行加密，得到加密串的步骤。

6.一种终端网络层及应用层可信接入系统，其特征在于，包括终端及网关设备；

所述终端，用于利用网络层向所述网关设备发送第一认证信息；在验证所述网关设备发送的第二认证信息无误后，利用应用层向所述网关设备发送第三认证信息；接收到所述网关设备发送的第一结束信息后，利用所述应用层根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成会话密钥，利用所述应用层基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，利用应用层基于所述会话密钥生成第二结束信息，向所述网关设备发送所述第二结束信息，在所述网关设备验证所述第二结束信息无误后，作为可信终端接入所述网关设备对应的主站；所述会话密钥用于对传输的数据进行加密；

所述网关设备，用于根据所述第一认证信息生成第二认证信息，向所述终端发送所述第二认证信息；并在验证所述第三认证信息无误后，根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成对称密钥，并基于所述对称密钥生成第一结束信息，向所述终端发送所述第一结束信息；在接收到所述第二结束信息后，利用所述对称密钥对所述第二结束信息进行验证，并在验证所述第二结束信息无误后，确定所述终端为可信终端；所述对称密钥，用于对所述终端传输的数据进行解密。

7.根据权利要求6所述的终端网络层及应用层可信接入系统，其特征在于，所述应用层中配置有安全芯片硬件；

所述安全芯片硬件，用于根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成会话密钥，基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，基于所述会话密钥生成第二结束信息。

8.根据权利要求7所述的终端网络层及应用层可信接入系统，其特征在于，所述网关设备中配置有加密卡驱动硬件；

所述加密卡驱动硬件，用于在验证所述第三认证信息无误后，根据所述第一认证信息、所述第二认证信息及所述第三认证信息生成所述对称密钥，并基于所述对称密钥生成第一结束信息；利用所述对称密钥对所述第二结束信息进行验证。

9.根据权利要求8所述的终端网络层及应用层可信接入系统，其特征在于，所述第一认证信息包括第一随机数，所述第二认证信息包括第二随机数，所述第三认证信息包括第三随机数；

所述加密卡驱动硬件，用于在验证所述第三认证信息无误后，根据所述第一认证信息的第一随机数、所述第二认证信息的第二随机数及所述第三认证信息的第三随机数生成所述对称密钥，并基于所述对称密钥生成第一结束信息；利用对称密钥对所述第二结束信息进行验证；

所述安全芯片硬件，用于根据所述第一认证信息的第一随机数、所述第二认证信息的第二随机数及所述第三认证信息的第三随机数生成会话密钥，基于所述会话密钥对所述第一结束信息进行验证，得到验证结果，并在所述验证结果表明所述第一结束信息无误后，基于所述会话密钥生成第二结束信息。

10.根据权利要求9所述的终端网络层及应用层可信接入系统，其特征在于，所述第一认证信息还包括终端支持的SSL协议版本号；所述第二认证信息还包括与所述SSL协议版本号匹配的网关设备的第一CA根证书；所述第三认证信息还包括所述终端的第二CA根证书；

所述终端，还用于验证所述第二认证信息的第一CA根证书的有效性，以验证所述网关设备发送的第二认证信息是否无误；

所述网关设备，还用于验证所述第三认证信息的第二CA根证书的有效性，以验证所述第三认证信息是否无误。

Images